Boutiques en ligne Magento : une faille notée 10 sur 10, et le correctif s'applique à la main

Le 7 septembre, Adobe livrait un correctif d'urgence pour StyleSmuggler, une faille du moteur de modèles d'e-mails de Magento. Un mois plus tard, la société de sécurité Sansec affirme que ce correctif avait laissé une brèche dans le même moteur. Adobe l'a comblée le 13 octobre dans le bulletin APSB26-153. Sansec l'a baptisée « BlockStrap ».

La faille, CVE-2026-103849, reçoit la note maximale de 10,0. Selon Adobe, elle permet l'exécution de code arbitraire, sans authentification. Elle touche Adobe Commerce et Magento Open Source jusqu'à la version 2.4.9, Adobe Commerce B2B jusqu'à 1.5.3, et selon Sansec le fork Mage-OS jusqu'à 3.5.0. Adobe indique ne connaître « aucune exploitation » à ce stade.

Pourquoi Sansec juge la priorité d'Adobe trop basse

Adobe classe la mise à jour en « priorité 2 », ce qui correspond à un délai d'installation recommandé de 30 jours. Sansec conteste ce classement. Le 14 octobre, soit le lendemain du correctif, ses équipes disent avoir reproduit quatre façons d'exécuter du code. L'éditeur rappelle que StyleSmuggler était passé d'un correctif d'urgence à une exploitation massive en trois jours, et que BlockStrap est d'une complexité comparable. Selon Sansec, « n'importe qui disposant d'un agent d'IA » peut désormais déduire un exploit d'un correctif.

Le principe technique : un contenu contrôlé par l'attaquant dans un modèle d'e-mail est retraité une seconde fois, au niveau le plus élevé. Une directive {{block}} glissée dans ce contenu finit alors par être exécutée.

BlockStrap n'est pas seule. Le même bulletin corrige dix autres failles, dont trois également critiques et exploitables sans authentification (CVE-2026-92909 dans la version B2B, CVE-2026-91013 et CVE-2026-100133).

Le piège : une mise à jour qui n'en est pas une

Une simple mise à jour de routine ne suffit pas forcément. Selon Sansec, une installation classique avec Composer récupère encore la version de base vulnérable : il faut appliquer la version « 2026-oct » ou le correctif isolé d'Adobe. Deuxième piège, le correctif StyleSmuggler de septembre (VULN-39341, CVE-2026-75650) est distinct et doit rester en place. Adobe le précise aussi dans son bulletin.

Que faire ?

• Adobe Commerce 2.4.4 à 2.4.9 : installer la version « 2026-oct » de votre branche. Magento Open Source 2.4.7 à 2.4.9 : même chose.
• Magento Open Source 2.4.6 ou plus ancien : le bulletin ne prévoit pas de version corrigée. Sansec conseille de passer en 2.4.7-p10 ou plus.
• Mage-OS : passer en 3.6.0, publiée le 14 octobre selon Sansec.
• Vérifier que le correctif est bien appliqué : Sansec indique que la fonction resolveDeferredDirectives doit apparaître dans vendor/magento/framework/Filter/Template.php (vendor/mage-os/framework/Filter/Template.php pour Mage-OS). Si elle est absente, le correctif manque. Contrôlez aussi le correctif de septembre : selon Sansec, les modules Composer qui appliquent les correctifs peuvent en sauter une partie sans faire échouer l'installation.
• Si vous ne pouvez pas corriger dans les heures qui viennent, mettez en place un filtrage applicatif devant la boutique et cherchez d'éventuelles portes dérobées.

Les failles critiques de ce type sont vite exploitées : le module WordPress Bricksforge a été attaqué quelques jours après la publication de sa faille. Sansec dit qu'elle mettra à jour son analyse dès qu'elle détectera des vagues d'attaques. Pour les retardataires, la fenêtre pourrait être courte.